Hackers secuestraron la cuenta verificada de Reddit del servicio de streaming HBO Max a principios de este mes y la utilizaron para publicar 108 anuncios maliciosos durante dos días, advierten expertos en ciberseguridad.

En su informe del lunes, investigadores de la firma de inteligencia sobre ciberdelincuencia Hudson Rock vinculan la toma de control de la cuenta a una operación más amplia que busca robar contraseñas e información de billeteras de criptomonedas.

“El incidente fue revelado por Alex Cutts en el subreddit r/cybersecurity. Mientras navegaba por la plataforma, se encontró con un anuncio oficial de Reddit publicado por la cuenta verificada u/hbomax”, escribió Hudson Rock. “El anuncio promocionaba agresivamente una aplicación nativa de macOS para HBO Max, una aplicación independiente que actualmente no existe.”

En lugar de proporcionar un instalador, el sitio instruía a los visitantes a abrir la Terminal en una Mac, o Ejecutar o PowerShell en Windows, y pegar un comando que podría infectar su computadora.

La técnica, conocida como ClickFix, disfraza comandos maliciosos como pasos rutinarios para instalar software, corregir errores o demostrar que un visitante es humano. La cuenta secuestrada dio a esas instrucciones el respaldo aparente de una empresa reconocible.

Los investigadores denominaron la operación “PasteSwitch”, advirtiendo que su sistema de entrega parece adaptarse al dispositivo del visitante y al software anunciado.

Las cargas útiles de Mac observadas incluían MacSync y Atomic macOS (AMOS), malware de robo de información diseñado para sustraer datos sensibles. Los objetivos reportados incluían credenciales de navegador, datos de Telegram, Apple Notes, contraseñas guardadas y frases de recuperación de billeteras de criptomonedas.

“Estos 'clippers' utilizaron contratos de Binance Smart Chain (BSC) como 'dead drops' mutables de C2”, escribieron los investigadores, explicando que el malware verifica los contratos de Binance Smart Chain en busca de la última dirección del servidor de control de los hackers. Los hackers pueden entonces actualizar esa dirección cuando cambian de servidor, permitiendo que el malware los siga encontrando.

La operación más amplia también se vinculó a secuestradores de portapapeles de criptomonedas, que reemplazan una dirección de billetera copiada por una controlada por un atacante. Una víctima que pegue la dirección sustituida sin verificarla podría enviar fondos al destinatario equivocado. Las frases de recuperación robadas plantean un riesgo separado porque pueden dar a los atacantes el control de la billetera asociada.

Según la firma de ciberseguridad Malwarebytes, los administradores de Reddit pausaron los anuncios e iniciaron una investigación de seguridad tras recibir informes. El informe no estableció cómo se comprometió la cuenta ni cuántas personas resultaron infectadas. Describió una toma de control de la cuenta de Reddit, sin que se presentara evidencia de una brecha en el servicio de streaming de HBO Max.

ClickFix ha aparecido en otras campañas recientes dirigidas a usuarios de criptomonedas. En agosto, los investigadores identificaron cerca de 2,000 sitios web de WordPress comprometidos que apoyaban una operación de malware que utilizaba avisos de verificación falsos y podía robar información de billeteras.

Investigadores de Microsoft también describieron una campaña separada que utilizaba CAPTCHAs falsos para engañar a los usuarios de Windows para que ejecutaran comandos maliciosos, con instrucciones obtenidas a través de la BNB Chain.